Cos'è un record DMARC?

Un record DMARC è una singola voce DNS TXT che pubblica la tua policy di autenticazione email. Si trova in una posizione fissa, _dmarc.yourdomain.com (nota l'underscore iniziale), e qualsiasi server di posta ricevente può consultarlo per sapere come vuoi che venga gestita la posta che non supera l'autenticazione e dove inviare i report.

Dove si trova un record DMARC?

Sempre nel sottodominio _dmarc del dominio che stai proteggendo. Per example.com, il record si trova su _dmarc.example.com. Per un sottodominio da cui invii, ad esempio mail.example.com, sarebbe _dmarc.mail.example.com, anche se la maggior parte dei team pubblica un solo record sul dominio organizzativo e lo lascia coprire i sottodomini. È un record TXT, lo stesso tipo di record che usa SPF, motivo per cui chi ha già pubblicato un record SPF troverà il processo familiare.

Cosa succede se non c'è un record DMARC?

"No DMARC record found" significa che non è pubblicato nulla su _dmarc.yourdomain.com. Ci sono due conseguenze, e la seconda è quella che sfugge.

I server riceventi non hanno istruzioni da parte tua, quindi ciascuno ricorre alla propria gestione per un messaggio che non supera l'autenticazione. E poiché rua è il punto in cui si richiedono i report, un record assente non richiede nulla: non ricevi report aggregati, quindi non puoi vedere chi sta inviando a nome del tuo dominio né se la tua stessa posta supera i controlli.

L'assenza non equivale a p=none. Un record p=none è una policy pubblicata che chiede ai riceventi di non cambiare nulla, continuando però a inviarti i report, ed è il punto di partenza normale. Nessun record significa né policy né visibilità.

Per verificare un dominio, interroga il record TXT sul nome _dmarc:

dig +short TXT _dmarc.example.com
nslookup -type=TXT _dmarc.example.com

Se preferisci non fare query manuali, l'email analyzer controlla un dominio nel browser e bird email tools audit fa lo stesso dalla shell.

Una risposta che contiene v=DMARC1 è un record. Una risposta vuota è un'assenza effettiva. Due casi limite vengono segnalati come "not found" anche se hai pubblicato qualcosa:

• Pubblicato con il nome sbagliato. Il record deve trovarsi su _dmarc.example.com, con l'underscore iniziale, e non alla radice del dominio accanto al tuo record SPF.
• Un tag v malformato. v=DMARC1 è obbligatorio e deve comparire per primo, quindi un errore di battitura in quel punto rende il record illeggibile come DMARC anche se la voce TXT viene risolta.

Se il risultato è che non hai un record, come configurare DMARC è il passo successivo, e iniziare con p=none puntando rua a una casella che leggi è il primo record tipico.

Come si presenta un record DMARC?

Eccone uno semplice:

v=DMARC1; p=none; rua=mailto:dmarc@example.com

Letto da sinistra a destra dice: questo è un record DMARC versione 1, non applicare ancora alcuna restrizione (solo monitoraggio) e invia i report aggregati a dmarc@example.com. Un record più completo potrebbe essere:

v=DMARC1; p=quarantine; sp=reject; rua=mailto:agg@example.com; ruf=mailto:forensic@example.com; adkim=s; aspf=r

Ogni record è semplicemente un elenco di coppie tag=value separate da punto e virgola. Due sono obbligatorie (v e p); le altre sono facoltative e hanno valori predefiniti ragionevoli.

Cosa significa ogni tag DMARC?

I due che userai di più sono p e rua. p è il tuo livello di applicazione, e sceglierlo bene è il cuore di un buon rollout (l'analisi completa è in cos'è una policy DMARC). rua è l'indirizzo che riceve i riepiloghi giornalieri da cui imparerai davvero.

Qual è la differenza tra rua e ruf?

rua raccoglie i report aggregati: riepiloghi XML, di solito uno al giorno da ciascun provider, che coprono tutta la posta osservata sotto il tuo dominio. Questo è il flusso da tenere d'occhio. ruf raccoglie i report forensi, ovvero copie (spesso oscurate) di singoli messaggi che non hanno superato l'autenticazione. Molti provider non inviano affatto report forensi per motivi di privacy, quindi non sorprenderti se la casella ruf resta silenziosa. Quando i report iniziano ad arrivare, come leggere un report DMARC ne illustra i campi.

Cosa fanno i tag di allineamento?

adkim e aspf controllano quanto deve essere esatta la corrispondenza del dominio. Rilassato (r) consente a un sottodominio di corrispondere al dominio organizzativo, quindi mail.example.com si allinea con example.com. Rigoroso (s) richiede una corrispondenza esatta. Rilassato è il valore predefinito e la scelta giusta per quasi tutti; usa rigoroso solo quando hai un motivo specifico. L'allineamento è il meccanismo che rende DMARC più forte di SPF o DKIM usati singolarmente, e come funziona DMARC spiega perché.

Come si pubblica e si verifica?

Aggiungi il record TXT tramite il tuo host DNS, poi conferma che venga risolto. La procedura passo passo, con guida cPanel inclusa, è in come configurare DMARC. Se invii tramite Bird, l'allineamento di DKIM e SPF viene configurato attraverso i record del tuo dominio di invio, quindi pubblicare questo record DMARC e puntare rua a una casella che monitori è la parte principale del lavoro. La guida all'autenticazione nella documentazione contiene i dettagli specifici per Bird.

Un record DMARC è piccolo, ma fa molto lavoro in una sola riga. Imposta correttamente p e rua e potrai perfezionare tutto il resto in seguito.